Joomla HikaShop 4.7.4 contient une vulnérabilité de cross-site scripting (XSS) de type reflet qui permet aux attaquants non authentifiés d'injecter des scripts malveillants en manipulant les paramètres GET dans l'endpoint de filtrage des produits. Les attaquants peuvent créer des URL malveillantes contenant des charges utiles XSS dans les paramètres from_option, from_ctrl, from_task ou from_itemid pour voler des jetons de session ou des informations d'identification de connexion lorsque les victimes visitent le lien.

La vulnérabilité CVE-2023-54364 dans Joomla HikaShop 4.7.4 représente un risque important en raison d'une faille de Cross-Site Scripting (XSS) réfléchie. Cette vulnérabilité permet à des attaquants non authentifiés d'injecter des scripts malveillants dans le site web en manipulant simplement les paramètres GET dans le point d'entrée de filtrage des produits. L'impact potentiel est grave, car un attaquant pourrait voler des jetons de session, des identifiants de connexion ou même rediriger les utilisateurs vers des sites web malveillants. L'absence d'une correction officielle aggrave la situation, obligeant les administrateurs à prendre des mesures préventives immédiates pour protéger leurs sites web Joomla. La vulnérabilité est exploitée via des paramètres tels que 'fromoption', 'fromctrl', 'fromtask' et 'fromitemid', ce qui facilite la création d'URL malveillantes.

Websites utilizing Joomla CMS with the HikaShop e-commerce extension are at risk. Specifically, sites running versions of HikaShop prior to 4.7.4 are vulnerable. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the exploitation of this vulnerability on other sites using the vulnerable HikaShop version.

• joomla / wordpress: Examine web server access logs for requests containing suspicious GET parameters (fromoption, fromctrl, fromtask, fromitemid) with encoded characters or JavaScript payloads.

grep -i 'from_option=[^a-zA-Z0-9_]+|from_ctrl=[^a-zA-Z0-9_]+|from_task=[^a-zA-Z0-9_]+|from_itemid=[^a-zA-Z0-9_]+' /var/log/apache2/access.log

• generic web: Use curl to test the product filter endpoint with various XSS payloads in the GET parameters and observe the response for signs of script execution.

curl 'https://example.com/hikashop/index.php?option=com_hikashop&view=product&filter_category_id=1&from_option=<script>alert("XSS")</script>'

1. 2026-04-09Disclosure

   disclosure

1. Réservé2026-04-09
2. Publiée2026-04-09
3. Modifiée2026-04-15
4. EPSS mis à jour2026-04-17

Étant donné l'absence de correction officielle pour CVE-2023-54364, l'atténuation se concentre sur des mesures préventives. La recommandation principale est de mettre à jour vers la dernière version disponible de HikaShop, même si elle n'aborde pas directement cette vulnérabilité, car elle peut inclure des correctifs de sécurité supplémentaires. De plus, il est suggéré de mettre en œuvre une validation et une désinfection rigoureuses de toutes les entrées utilisateur, en particulier dans les paramètres GET. L'utilisation d'un pare-feu applicatif web (WAF) peut aider à bloquer les requêtes malveillantes. Surveiller les journaux du site web à la recherche d'activités suspectes, telles que des requêtes avec des paramètres GET inhabituels, est crucial. Enfin, sensibiliser les utilisateurs aux risques liés au clic sur des liens suspects peut réduire le risque d'exploitation.